‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

ניהול משאבים באמצעות אילוצים מותאמים אישית

Google Cloud שירות מדיניות הארגון מאפשר לכם לשלוט באופן מרוכז ופרוגרמטי במשאבי הארגון. אדמינים של מדיניות הארגון יכולים להגדיר מדיניות לארגון, שהיא קבוצה של הגבלות שנקראות אילוצים. האילוצים האלה חלים על משאביGoogle Cloud ועל הצאצאים של המשאבים האלה בGoogle Cloud היררכיית המשאבים. אפשר לאכוף את מדיניות הארגון ברמת הארגון, התיקייה או הפרויקט.

מדיניות הארגון מספקת אילוצים מוגדרים מראש לשירותים שונים שלGoogle Cloud . עם זאת, אם אתם רוצים שליטה פרטנית יותר וניתנת להתאמה אישית על השדות הספציפיים שמוגבלים במדיניות הארגון, אתם יכולים גם ליצור אילוצים בהתאמה אישית ולאכוף אותם במדיניות ארגון בהתאמה אישית.

ירושה של מדיניות

כברירת מחדל, מדיניות הארגון עוברת בירושה לצאצאים של המשאבים שעליהם אתם אוכפים את המדיניות. לדוגמה, אם אוכפים מדיניות בתיקייה, Google Cloud אוכף את המדיניות בכל הפרויקטים שבתיקייה. למידע נוסף על ההתנהגות הזו ואיך לשנות אותה, קראו את המאמר כללי הערכה של היררכיה.

המשאבים שנתמכים ב-Google Cloud Armor

במשאבים של Cloud Armor, אפשר להגדיר אילוצים בהתאמה אישית במשאבים ובשדות הבאים.

מדיניות אבטחה: compute.googleapis.com/SecurityPolicy
- שם: resource.name
- תיאור: resource.description
- כללים: resource.rules[]
  - פעולה בכותרת: resource.rules[].headerAction
    - כותרות הבקשה שצריך להוסיף: resource.rules[].headerAction.requestHeadersToAdds[]
      - שם הכותרת: resource.rules[].headerAction.requestHeadersToAdds[].headerName
      - ערך הכותרת: resource.rules[].headerAction.requestHeadersToAdds[].headerValue
  - הגורם שביצע את ההתאמה: resource.rules[].match
    - ביטוי עם גרסה: resource.rules[].match.versionedExpr
    - הגדרה: resource.rules[].match.config
      - טווחי כתובות ה-IP של המקור: resource.rules[].match.config.srcIpRanges[]
    - ביטוי: resource.rules[].match.expr
    - אפשרויות הבעה: resource.rules[].match.exprOptions
      - אפשרויות reCAPTCHA: resource.rules[].match.exprOptions.recaptchaOptions
        
        מפתחות אתר של אסימוני פעולה: resource.rules[].match.exprOptions.recaptchaOptions.actionTokenSiteKeys[]
        
        מפתחות אתר של טוקן לסשן: resource.rules[].match.exprOptions.recaptchaOptions.sessionTokenSiteKeys[]
  - התאמה לרשת: resource.rules[].networkMatch
    - התאמה לשדה בהגדרת המשתמש: resource.rules[].networkMatch.userDefinedFieldMatch
      - שם: resource.rules[].networkMatch.userDefinedFieldMatch.name
      - ערכים: resource.rules[].networkMatch.userDefinedFieldMatch.values
    - טווחי כתובות ה-IP של המקור: resource.rules[].networkMatch.srcIpRanges
    - טווחי ה-IP של היעד: resource.rules[].networkMatch.destIpRanges
    - פרוטוקולי IP:‏ resource.rules[].networkMatch.ipProtocols
    - יציאות מקור: resource.rules[].networkMatch.srcPorts
    - יציאות היעד: resource.rules[].networkMatch.destPorts
    - קודי האזור של המקור: resource.rules[].networkMatch.srcRegionCodes
    - מספרי ASN של המקור: resource.rules[].networkMatch.srcAsns
  - הגדרת WAF שנקבעה מראש: resource.rules[].preconfiguredWafConfig
    - החרגות: resource.rules[].preconfiguredWafConfig.exclusions[]
      - קבוצת כללי היעד: resource.rules[].preconfiguredWafConfig.exclusions[].targetRuleSet
      - מזהי כללי היעד: resource.rules[].preconfiguredWafConfig.exclusions[].targetRuleIds[]
      - כותרות של בקשות שצריך להחריג: resource.rules[].preconfiguredWafConfig.exclusions[].requestHeadersToExclude[]
        
        ערך: resource.rules[].preconfiguredWafConfig.exclusions[].requestHeadersToExclude[].val
        
        הפעולה: resource.rules[].preconfiguredWafConfig.exclusions[].requestHeadersToExclude[].op
      - קובצי Cookie של הבקשה שצריך להחריג: resource.rules[].preconfiguredWafConfig.exclusions[].requestCookiesToExclude[]
        
        ערך: resource.rules[].preconfiguredWafConfig.exclusions[].requestCookiesToExclude[].val
        
        הפעולה: resource.rules[].preconfiguredWafConfig.exclusions[].requestCookiesToExclude[].op
      - פרמטרים של שאילתת בקשה להחרגה: resource.rules[].preconfiguredWafConfig.exclusions[].requestQueryParamsToExclude[]
        
        ערך: resource.rules[].preconfiguredWafConfig.exclusions[].requestQueryParamsToExclude[].val
        
        הפעולה: resource.rules[].preconfiguredWafConfig.exclusions[].requestQueryParamsToExclude[].op
      - מזהי URI של בקשות שצריך להחריג: resource.rules[].preconfiguredWafConfig.exclusions[].requestUrisToExclude[]
        
        ערך: resource.rules[].preconfiguredWafConfig.exclusions[].requestUrisToExclude[].val
        
        הפעולה: resource.rules[].preconfiguredWafConfig.exclusions[].requestUrisToExclude[].op
  - אפשרויות הפניה לכתובת אחרת: resource.rules[].redirectOptions[]
    - סוג: resource.rules[].redirectOptions[].type
    - יעד: resource.rules[].redirectOptions[].target
  - אפשרויות להגבלת קצב: resource.rules[].rateLimitOptions[]
    - סף הגבלת הקצב: resource.rules[].rateLimitOptions[].rateLimitThreshold
      - מספר: resource.rules[].rateLimitOptions[].rateLimitThreshold.count
      - מרווח בשניות: resource.rules[].rateLimitOptions[].rateLimitThreshold.intervalSec
    - פעולת התאמה: resource.rules[].rateLimitOptions[].conformAction
    - פעולה במקרה של חריגה: resource.rules[].rateLimitOptions[].exceedAction
    - אפשרויות להפניה אוטומטית במקרה של חריגה: resource.rules[].rateLimitOptions[].exceedRedirectOptions
      - סוג: resource.rules[].rateLimitOptions[].exceedRedirectOptions.type
      - יעד: resource.rules[].rateLimitOptions[].exceedRedirectOptions.target
    - סטטוס RPC של פעולת החריגה: resource.rules[].rateLimitOptions[].exceedActionRpcStatus
      - קוד: resource.rules[].rateLimitOptions[].exceedActionRpcStatus.code
      - הודעה: resource.rules[].rateLimitOptions[].exceedActionRpcStatus.message
    - אכיפה במפתח: resource.rules[].rateLimitOptions[].enforceOnKey
    - אכיפה בשם המפתח: resource.rules[].rateLimitOptions[].enforceOnKeyName
    - אכיפה בהגדרות של המפתחות: resource.rules[].rateLimitOptions[].enforceOnKeyConfigs
      - אכיפה לפי סוג המפתח: resource.rules[].rateLimitOptions[].enforceOnKeyConfigs.enforceOnKeyType
      - אכיפה בשם המפתח: resource.rules[].rateLimitOptions[].enforceOnKeyConfigs.enforceOnKeyName
    - סף החסימה: resource.rules[].rateLimitOptions[].banThreshold
      - מספר: resource.rules[].rateLimitOptions[].banThreshold.count
      - מרווח בשניות: resource.rules[].rateLimitOptions[].banThreshold.intervalSec
    - משך החסימה בשניות: resource.rules[].rateLimitOptions[].banDurationSec
  - יעד ההפניה האוטומטית: resource.rules[].redirectTarget
  - מספר הכלל: resource.rules[].ruleNumber
- הגדרת ההגנה הדינמית: resource.adaptiveProtectionConfig
  - הגדרת הגנה מפני מתקפות DDoS בשכבה 7: resource.adaptiveProtectionConfig.layer7DdosDefenseConfig
    - הפעלה: resource.adaptiveProtectionConfig.layer7DdosDefenseConfig.enable
    - הרשאות הגישה לכלל: resource.adaptiveProtectionConfig.layer7DdosDefenseConfig.ruleVisibility
    - הגדרות הסף: resource.adaptiveProtectionConfig.layer7DdosDefenseConfig.thresholdConfigs[]
      - שם: resource.adaptiveProtectionConfig.layer7DdosDefenseConfig.thresholdConfigs[].name
      - סף העומס לפריסה אוטומטית: resource.adaptiveProtectionConfig.layer7DdosDefenseConfig.thresholdConfigs[].autoDeployLoadThreshold
      - סף הסמך לפריסה אוטומטית: resource.adaptiveProtectionConfig.layer7DdosDefenseConfig.thresholdConfigs[].autoDeployConfidenceThreshold
      - סף בסיס מושפע לפריסה אוטומטית: resource.adaptiveProtectionConfig.layer7DdosDefenseConfig.thresholdConfigs[].autoDeployImpactedBaselineThreshold
      - תפוגת הפריסה האוטומטית בשניות: resource.adaptiveProtectionConfig.layer7DdosDefenseConfig.thresholdConfigs[].autoDeployExpirationSec
      - סף העומס לזיהוי: resource.adaptiveProtectionConfig.layer7DdosDefenseConfig.thresholdConfigs[].detectionLoadThreshold
      - מספר השאילתות לשנייה (QPS) המוחלט לזיהוי: resource.adaptiveProtectionConfig.layer7DdosDefenseConfig.thresholdConfigs[].detectionAbsoluteQps
      - זיהוי ביחס ל-QPS הבסיסי: resource.adaptiveProtectionConfig.layer7DdosDefenseConfig.thresholdConfigs[].detectionRelativeToBaselineQps
      - הגדרות של רמת הפירוט של התנועה: resource.adaptiveProtectionConfig.layer7DdosDefenseConfig.thresholdConfigs[].trafficGranularityConfigs[]
        
        סוג: resource.adaptiveProtectionConfig.layer7DdosDefenseConfig.thresholdConfigs[].trafficGranularityConfigs[].type
        
        ערך: resource.adaptiveProtectionConfig.layer7DdosDefenseConfig.thresholdConfigs[].trafficGranularityConfigs[].value
        
        מפעילים כל ערך ייחודי: resource.adaptiveProtectionConfig.layer7DdosDefenseConfig.thresholdConfigs[].trafficGranularityConfigs[].enableEachUniqueValue
  - הגדרת פריסה אוטומטית: resource.adaptiveProtectionConfig.autoDeployConfig
    - סף העומס: resource.adaptiveProtectionConfig.autoDeployConfig.loadThreshold
    - סף רמת הסמך: resource.adaptiveProtectionConfig.autoDeployConfig.confidenceThreshold
    - סף הבסיס שהושפע: resource.adaptiveProtectionConfig.autoDeployConfig.impactedBaselineThreshold
    - שניות עד לתפוגה: resource.adaptiveProtectionConfig.autoDeployConfig.expirationSec
- הגדרת אפשרויות מתקדמות: resource.advancedOptionsConfig
  - ניתוח JSON: resource.advancedOptionsConfig.jsonParsing
  - הגדרות אישיות ב-JSON: resource.advancedOptionsConfig.jsonCustomConfig
    - סוגי תוכן: resource.advancedOptionsConfig.jsonCustomConfig.contentTypes[]
  - רמת הרישום ביומן: resource.advancedOptionsConfig.logLevel
  - כותרות של בקשות IP של משתמשים: resource.advancedOptionsConfig.userIpRequestHeaders[]
- הגדרת ההגנה מפני DDoS: resource.ddosProtectionConfig
  - הגנה מפני DDoS: resource.ddosProtectionConfig.ddosProtection
- הגדרת האפשרויות של reCAPTCHA: resource.recaptchaOptionsConfig
  - מפתח האתר להפניה אוטומטית: resource.recaptchaOptionsConfig.redirectSiteKey
- סוג: resource.type
- שדות בהגדרת משתמש: resource.userDefinedFields[]
  - שם: resource.userDefinedFields[].name
  - בסיס: resource.userDefinedFields[].base
  - היסט: resource.userDefinedFields[].offset
  - גודל: resource.userDefinedFields[].size
  - מסכה: resource.userDefinedFields[].mask
Network Edge Security Service: compute.googleapis.com/NetworkEdgeSecurityService
- שם: resource.name
- תיאור: resource.description
- מדיניות האבטחה: resource.securityPolicy

הגדרת אילוצים בהתאמה אישית

אילוץ בהתאמה אישית מוגדר על ידי המשאבים, השיטות, התנאים והפעולות שנתמכים על ידי השירות שבו אתם אוכפים את מדיניות הארגון. התנאים של האילוצים המותאמים אישית מוגדרים באמצעות Common Expression Language (CEL). למידע נוסף על יצירת תנאים באילוצים מותאמים אישית באמצעות CEL, קראו את הקטע בנושא CEL במאמר יצירה וניהול של מדיניות הארגון.

לפני שמתחילים

אם עדיין לא עשיתם את זה, תצטרכו להגדיר אימות. אימות הוא התהליך שבו מאמתים את הזהות שלכם כדי לקבל גישה לממשקי API ולשירותים של Google Cloud . כדי להריץ קוד או דוגמאות מסביבת פיתוח מקומית, אפשר לבצע אימות ל-Compute Engine באחת מהדרכים האלה:
צריך לבחור את הכרטיסייה הרלוונטית לאופן שבו תכננתם להשתמש בדוגמאות בדף הזה:
המסוף

כשמשתמשים במסוף Google Cloud כדי לגשת לשירותים ולממשקי ה-API של Google Cloud , לא צריך להגדיר אימות.
gcloud
1. התקינו את ה-CLI של Google Cloud ואז היכנסו ל-CLI של gcloud באמצעות הזהות המאוחדת שלכם. אחרי שנכנסתם לחשבון, אתחלו את ה-CLI של Google Cloud באמצעות הפקודה הבאה:
  gcloud init
  הערה: אם התקנתם את ה-CLI של gcloud, השתמשו בפקודה gcloud components update כדי לבדוק אם הגרסה העדכנית מותקנת.
הגדרת אזור ותחום כברירת מחדל.

REST

כדי להשתמש בסביבת פיתוח מקומית בדוגמאות של API בארכיטקטורת REST שבדף הזה, צריך להשתמש בפרטי הכניסה שאתם נותנים ל-CLI של gcloud.

התקינו את ה-CLI של Google Cloud ואז היכנסו ל-CLI של gcloud באמצעות הזהות המאוחדת שלכם.

מידע נוסף מופיע במאמר אימות לשימוש ב-REST במסמכי האימות של Google Cloud .

* ודאו שאתם יודעים מהו מזהה הארגון שלכם.

התפקידים הנדרשים

כדי לקבל את ההרשאות שדרושות לניהול מדיניות הארגון למשאבי Cloud Armor, בקשו מהאדמין להקצות לכם את תפקידי ה-IAM הבאים:

אדמין של מדיניות הארגון (roles/orgpolicy.policyAdmin) במשאב הארגון
כדי לבדוק את האילוצים:
- Security Admin ב-Compute (roles/compute.securityAdmin) בפרויקט
- משתמש בחשבון שירות (roles/iam.serviceAccountUser) בפרויקט

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

התפקידים המוגדרים מראש האלו כוללים את ההרשאות שנדרשות כדי לנהל את מדיניות הארגון למשאבים של Cloud Armor. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

ההרשאות הנדרשות

כדי לנהל את מדיניות הארגון למשאבי Cloud Armor, נדרשות ההרשאות הבאות:

orgpolicy.constraints.list
orgpolicy.policies.create
orgpolicy.policies.delete
orgpolicy.policies.list
orgpolicy.policies.update
orgpolicy.policy.get
orgpolicy.policy.set

יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

הגדרת אילוץ בהתאמה אישית

אפשר ליצור אילוץ בהתאמה אישית ולהגדיר אותו לשימוש בכללי מדיניות של הארגון באמצעות מסוף Google Cloud או Google Cloud CLI.

המסוף

במסוף Google Cloud , נכנסים לדף מדיניות הארגון.

כניסה לדף Organization policies
בוחרים את הפרויקט בחלק העליון של הדף.
בכלי לבחירת פרויקטים, בוחרים את המשאב שרוצים להגדיר לו את מדיניות הארגון.
לוחצים על Custom constraint.
בתיבה Display name, מזינים שם לאילוץ שיהיה קל לזהות. האורך המקסימלי של השדה הזה הוא 200 תווים. אל תשתמשו בפרטים אישיים מזהים (PII) או בנתונים רגישים בשמות של אילוצים, כי הם עלולים להיחשף בהודעות שגיאה.
בתיבה Constraint ID, מזינים את השם שרוצים לתת לאילוץ החדש בהתאמה אישית. אילוץ בהתאמה אישית חייב להתחיל ב-custom., ויכול לכלול רק אותיות רישיות, אותיות קטנות או מספרים, לדוגמה, custom.requireSecurityPolicyWithStandardJsonParsing. האורך המקסימלי של השדה הזה הוא 70 תווים, לא כולל הקידומת, לדוגמה, organizations/123456789/customConstraints/custom..
בתיבה Description, מזינים תיאור קריא של האילוץ שיוצג כהודעת שגיאה כשיש הפרה של המדיניות. האורך המקסימלי של השדה הזה הוא 2,000 תווים.
בתיבה Resource type, בוחרים את השם של משאב ה-REST ב- Google Cloudשמכיל את האובייקט והשדה שרוצים להגביל. לדוגמה, compute.googleapis.com/SecurityPolicy.
בקטע Enforcement method, בוחרים אם לאכוף את האילוץ רק על ה-method‏ CREATE ב-REST, או גם על ה-method‏ CREATE וגם על ה-method‏ UPDATE ב-REST.
כדי להגדיר תנאי, לוחצים על Edit condition.
1. בחלונית Add condition, יוצרים תנאי CEL שמתייחס למשאב של שירות נתמך. האורך המקסימלי של השדה הזה הוא 1,000 תווים.
2. לוחצים על Save.
בקטע Action, בוחרים אם לאשר או לדחות את השיטה שנבדקה אם התנאי מתקיים.
לוחצים על Create constraint.

אחרי שמזינים ערך בכל שדה, בצד שמאל מופיעה הגדרת ה-YAML המקבילה לאילוץ המותאם אישית הזה.

gcloud

כדי ליצור אילוץ בהתאמה אישית באמצעות Google Cloud CLI, יוצרים קובץ YAML.

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resource_types: compute.googleapis.com/RESOURCE_NAME
method_types:
– METHOD1
– METHOD2
condition: "CONDITION"
action_type: ACTION
display_name: DISPLAY_NAME
description: DESCRIPTION

מחליפים את מה שכתוב בשדות הבאים:

‫ORGANIZATION_ID: מזהה הארגון, למשל 123456789.
‫CONSTRAINT_NAME: השם שרוצים לתת לאילוץ המותאם אישית החדש. אילוץ בהתאמה אישית חייב להתחיל ב-custom., ויכול לכלול רק אותיות רישיות, אותיות קטנות או מספרים, לדוגמה, custom.requireSecurityPolicyWithStandardJsonParsing. האורך המקסימלי של השדה הזה הוא 70 תווים, לא כולל הקידומת, לדוגמה, organizations/123456789/customConstraints/custom.
‫RESOURCE_NAME: השם (לא ה-URI) של משאב Compute Engine API REST שמכיל את האובייקט והשדה שרוצים להגביל. לדוגמה, compute.googleapis.com/SecurityPolicy.
‫METHOD1,METHOD2,...: רשימה של methods מסוג RESTful שעליהן חל האילוץ. הערך יכול להיות CREATE או CREATE ו-UPDATE.
‫CONDITION: תנאי CEL שנכתב כנגד ייצוג של משאב שירות נתמך. האורך המקסימלי של השדה הזה הוא 1,000 תווים. במאמר משאבים נתמכים תוכלו לקרוא בהרחבה על המשאבים שאפשר לכתוב להם תנאים.
‫ACTION: הפעולה שצריך לבצע אם מתקיים התנאי condition. הערך יכול להיות ALLOW או DENY.
‫DISPLAY_NAME: שם קריא לאנשים של האילוץ. האורך המקסימלי של השדה הזה הוא 200 תווים.
‫DESCRIPTION: תיאור קריא של האילוץ, שיוצג כהודעת שגיאה במקרה של הפרת המדיניות. האורך המקסימלי של השדה הזה הוא 2,000 תווים.

למידע נוסף על יצירת אילוץ בהתאמה אישית, ראו הגדרת אילוצים בהתאמה אישית.

המסוף

כדי ליצור אילוץ בהתאמה אישית:

במסוף Google Cloud , נכנסים לדף מדיניות הארגון.
כניסה לדף Organization policies
בכלי לבחירת פרויקטים, בוחרים את הפרויקט שרוצים להגדיר לו את מדיניות הארגון.
לוחצים על Custom constraint.
בתיבה Display name, מזינים שם לאילוץ שיהיה קריא לאנשים. השם הזה מופיע בהודעות שגיאה ואפשר להשתמש בו לזיהוי ולניפוי באגים. אל תשתמשו בפרטים אישיים מזהים (PII) או במידע רגיש בשמות לתצוגה, כי השם הזה עלול להיחשף בהודעות שגיאה. השדה הזה יכול להכיל עד 200 תווים.
בתיבה Constraint ID, מזינים את המזהה שרוצים לתת לאילוץ החדש בהתאמה אישית. אילוץ בהתאמה אישית יכול להכיל רק אותיות (כולל אותיות רישיות וקטנות) או מספרים, לדוגמה custom.requireSecurityPolicyWithStandardJsonParsing. השדה הזה יכול להכיל עד 70 תווים, לא כולל הקידומת (custom.), לדוגמה, organizations/123456789/customConstraints/custom. אל תכללו פרטים אישיים מזהים או מידע רגיש במזהה האילוץ, כי הם עלולים להיחשף בהודעות שגיאה.
בתיבה Description, מזינים תיאור קריא לאנשים של האילוץ. התיאור הזה משמש כהודעת שגיאה כשיש הפרה של המדיניות. ציינו פרטים על הסיבה להפרת המדיניות ואיך לפתור את הבעיה. אל תכללו פרטים אישיים מזהים או מידע רגיש בתיאור, כי הם עלולים להיחשף בהודעות שגיאה. השדה הזה יכול להכיל עד 2,000 תווים.
בתיבה Resource type, בוחרים את השם של משאב ה- Google Cloud REST שמכיל את האובייקט והשדה שרוצים להגביל, לדוגמה container.googleapis.com/Cluster. רוב סוגי המשאבים תומכים בעד 20 אילוצים בהתאמה אישית. אם תנסו ליצור יותר אילוצים בהתאמה אישית, הפעולה תיכשל.
אפשר לאכוף את האילוץ הזה רק ב-REST CREATE.

כדי לראות את השיטות הנתמכות לכל שירות, חפשו את השירות במאמר שירותים שתומכים באילוצים בהתאמה אישית.

כדי להגדיר תנאי, לוחצים על עריכת התנאי.

בחלונית Add condition, יוצרים תנאי CEL שמתייחס למשאב שירות נתמך, לדוגמה resource.management.autoUpgrade == false. השדה הזה יכול להכיל עד 1,000 תווים. לפרטים על השימוש ב-CEL, קראו את המאמר Common Expression Language. מידע נוסף על משאבי השירות שבהם אפשר להשתמש באילוצים המותאמים אישית מופיע במאמר שירותים שנתמכים באילוצים מותאמים אישית.
לוחצים על Save.

בקטע Action, בוחרים אם לאשר או לדחות את השיטה שנבדקה אם התנאי מתקיים.

פעולת הדחייה פירושה שהפעולה ליצירה או לעדכון של המשאב נחסמת אם התנאי מקבל את הערך true.

פעולת ההרשאה מאפשרת ליצור או לעדכן את המשאב רק אם התנאי מתקיים. כל מקרה אחר, מלבד אלה שרשומים במפורש בתנאי, נחסם.

לוחצים על Create constraint.

אחרי שמזינים ערך בכל שדה, הגדרת ה-YAML המקבילה לאילוץ המותאם אישית הזה מופיעה בצד שמאל.

gcloud

כדי ליצור אילוץ בהתאמה אישית, יוצרים קובץ YAML בפורמט הבא:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes: RESOURCE_NAME
methodTypes:
  - CREATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

מחליפים את מה שכתוב בשדות הבאים:

‫ORGANIZATION_ID: מזהה הארגון, למשל 123456789.
‫CONSTRAINT_NAME: השם שרוצים לתת לאילוץ החדש בהתאמה אישית. אילוץ בהתאמה אישית יכול להכיל רק אותיות (כולל אותיות רישיות וקטנות) או מספרים, לדוגמה, custom.requireSecurityPolicyWithStandardJsonParsing. השדה הזה יכול להכיל עד 70 תווים, לא כולל הקידומת (custom.) – לדוגמה, organizations/123456789/customConstraints/custom. אל תכללו פרטים אישיים מזהים (PII) או מידע רגיש במזהה האילוץ, כי הם עלולים להיחשף בהודעות שגיאה.
‫RESOURCE_NAME: השם המלא של המשאב ב- Google Cloudשמכיל את האובייקט והשדה שרוצים להגביל. לדוגמה, compute.googleapis.com/SecurityPolicy. רוב סוגי המשאבים תומכים בעד 20 אילוצים בהתאמה אישית. אם תנסו ליצור יותר אילוצים בהתאמה אישית, הפעולה תיכשל.
‫methodTypes: שיטות ה-REST שעליהן נאכף האילוץ. הערך יכול להיות רק CREATE.

כדי לראות את השיטות הנתמכות בכל שירות, חפשו את השירות במאמר שירותים שתומכים באילוצים בהתאמה אישית.

‫CONDITION: תנאי CEL שנכתב כנגד ייצוג של משאב שירות נתמך. השדה הזה יכול להכיל עד 1,000 תווים. לדוגמה, "resource.advancedOptionsConfig.jsonParsing != 'STANDARD'".

למידע נוסף על המשאבים הזמינים לכתיבת תנאים, ראו משאבים נתמכים.

‫ACTION: הפעולה שצריך לבצע אם התנאי condition מתקיים. הערך יכול להיות רק ALLOW.

הפעולה allow פירושה שאם התנאי מקבל את הערך true, מותר ליצור או לעדכן את המשאב. זה גם אומר שכל מקרה אחר, מלבד המקרה שמופיע במפורש בתנאי, חסום.

‫DISPLAY_NAME: שם קריא לאנשים של האילוץ. השם הזה מופיע בהודעות שגיאה ואפשר להשתמש בו לזיהוי ולניפוי באגים. אל תשתמשו בפרטים אישיים מזהים (PII) או במידע רגיש בשמות המוצגים, כי השם הזה עלול להיחשף בהודעות שגיאה. השדה הזה יכול להכיל עד 200 תווים.
‫DESCRIPTION: תיאור ידידותי למשתמש של האילוץ, שיוצג כהודעת שגיאה במקרה של הפרת המדיניות. השדה הזה יכול להכיל עד 2,000 תווים.

אחרי שיוצרים את קובץ ה-YAML לאילוץ חדש בהתאמה אישית, צריך להגדיר אותו כדי שיהיה זמין למדיניות הארגון. כדי להגדיר אילוץ בהתאמה אישית, משתמשים בפקודה gcloud org-policies set-custom-constraint:

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

מחליפים את CONSTRAINT_PATH בנתיב המלא לקובץ האילוץ בהתאמה אישית. לדוגמה, /home/user/customconstraint.yaml.

בסיום הפעולה, האילוצים המותאמים אישית יהיו זמינים כמדיניות של הארגון ברשימת Google Cloud כללי המדיניות של הארגון.

כדי לוודא שהאילוץ המותאם אישית קיים, משתמשים בפקודה gcloud org-policies list-custom-constraints:

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

מחליפים את ORGANIZATION_ID במזהה של משאב הארגון.

למידע נוסף, קראו את המאמר הצגת מדיניות הארגון.

אכיפה של אילוץ בהתאמה אישית

כדי לאכוף אילוץ, אתם יכולים ליצור מדיניות ארגון שמפנה אליו, ואז להחיל את מדיניות הארגון על משאב ב- Google Cloud .

המסוף

במסוף Google Cloud , נכנסים לדף מדיניות הארגון.
כניסה לדף Organization policies
בכלי לבחירת פרויקטים, בוחרים את הפרויקט שרוצים להגדיר לו את מדיניות הארגון.
ברשימה שבדף מדיניות הארגון, בוחרים את האילוץ כדי להציג את הדף Policy details של אותו אילוץ.
כדי להגדיר את מדיניות הארגון למשאב הזה, לוחצים על ניהול המדיניות.
בדף עריכת המדיניות, בוחרים באפשרות במקום המדיניות של המשאב הראשי.
לוחצים על Add a rule.
בקטע Enforcement, בוחרים אם לאכוף את מדיניות הארגון הזו או לא.
אופציונלי: כדי להוסיף תנאי למדיניות הארגון על סמך תג, לוחצים על Add condition. שימו לב: אם מוסיפים כלל מותנה למדיניות הארגון, צריך להוסיף לפחות כלל אחד לא מותנה, אחרת אי אפשר לשמור את המדיניות. מידע נוסף מופיע במאמר הגדרת ההיקף של מדיניות הארגון באמצעות תגים.
לוחצים על בדיקת השינויים כדי לדמות את ההשפעה של מדיניות הארגון. למידע נוסף, קראו את המאמר בדיקת שינויים במדיניות הארגון באמצעות סימולטור המדיניות.
כדי לאכוף את מדיניות הארגון במצב פרימטר לבדיקות, לוחצים על הגדרת המדיניות להרצת בדיקה. למידע נוסף, קראו את המאמר בדיקת כללי מדיניות של הארגון.
אחרי שמוודאים שמדיניות הארגון במצב פרימטר לבדיקות פועלת כמו שצריך, לוחצים על Set policy כדי להגדיר את המדיניות הפעילה.

gcloud

כדי ליצור מדיניות ארגונית עם כללים בוליאניים, יוצרים קובץ YAML של מדיניות שמפנה לאילוץ:

name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
spec:
  rules:
  - enforce: true

dryRunSpec:
  rules:
  - enforce: true

מחליפים את מה שכתוב בשדות הבאים:

‫PROJECT_ID: הפרויקט שבו רוצים לאכוף את האילוץ.
‫CONSTRAINT_NAME: השם שהגדרתם לאילוץ המותאם אישית. לדוגמה, custom.requireSecurityPolicyWithStandardJsonParsing.

כדי לאכוף את מדיניות הארגון במצב פרימטר לבדיקות, מריצים את הפקודה הבאה עם הדגל dryRunSpec:

gcloud org-policies set-policy POLICY_PATH --update-mask=dryRunSpec

מחליפים את POLICY_PATH בנתיב המלא לקובץ ה-YAML של מדיניות הארגון. המדיניות תיכנס לתוקף תוך 15 דקות לכל היותר.

אחרי שמוודאים שמדיניות הארגון במצב פרימטר לבדיקות פועלת כמצופה, מגדירים את המדיניות הפעילה באמצעות הפקודה org-policies set-policy והדגל spec:

gcloud org-policies set-policy POLICY_PATH --update-mask=spec

מחליפים את POLICY_PATH בנתיב המלא לקובץ ה-YAML של מדיניות הארגון. המדיניות תיכנס לתוקף תוך 15 דקות לכל היותר.

דוגמה: יצירת אילוץ שדורש שבכל מדיניות אבטחה יהיה ניתוח JSON רגיל

האילוץ הזה מונע יצירה של מדיניות אבטחה אם לא מופעל בה ניתוח סטנדרטי של JSON.

gcloud

יוצרים קובץ אילוצים ב-requireStandardJsonParsing.yaml עם הפרטים הבאים:

name: organizations/ORGANIZATION_ID/customConstraints/custom.requireStandardJsonParsing
resource_types: compute.googleapis.com/SecurityPolicy
condition: "resource.advancedOptionsConfig.jsonParsing != 'STANDARD'"
action_type: DENY
method_types: [CREATE, UPDATE]
display_name: Security policies must have standard JSON parsing enabled.

מחליפים את ORGANIZATION_ID במזהה הארגון.

מגדירים את האילוץ המותאם אישית.

gcloud org-policies set-custom-constraint requireStandardJsonParsing.yaml

יוצרים קובץ מדיניות requireStandardJsonParsing-policy.yaml עם המידע שמופיע בדוגמה הבאה, ואוכפים את האילוץ ברמת הפרויקט. אפשר גם להגדיר את האילוץ הזה ברמת הארגון או התיקייה.
```
    name: projects/PROJECT_ID/policies/custom.requireStandardJsonParsing
    spec:
      rules:
      – enforce: true
```
מחליפים את PROJECT_ID במזהה הפרויקט.

אוכפים את המדיניות.

gcloud org-policies set-policy requireStandardJsonParsing-policy.yaml

כדי לבדוק את האילוץ, יוצרים מדיניות אבטחה בלי להגדיר את השדה של ניתוח ה-JSON.

gcloud compute security-policies create my-policy \
    --type=CLOUD_ARMOR

הפלט אמור להיראות כך:

ERROR: (gcloud.compute.securityPolicies.create) Could not fetch resource:
- Operation denied by custom org policy: [customConstraints/custom.requireStandardJsonParsing] : Security policies must have standard JSON parsing enabled.

תמחור

מדיניות הארגון, כולל כללי מדיניות מוגדרים מראש וכללי מדיניות בהתאמה אישית, מוצעת ללא תשלום.

ניהול משאבים באמצעות אילוצים מותאמים אישית קל לארגן דפים בעזרת אוספים אפשר לשמור ולסווג תוכן על סמך ההעדפות שלך.

ירושה של מדיניות

המשאבים שנתמכים ב-Google Cloud Armor

הגדרת אילוצים בהתאמה אישית

לפני שמתחילים

המסוף

gcloud

REST

התפקידים הנדרשים

ההרשאות הנדרשות

הגדרת אילוץ בהתאמה אישית

המסוף

gcloud

המסוף

gcloud

אכיפה של אילוץ בהתאמה אישית

המסוף

gcloud

דוגמה: יצירת אילוץ שדורש שבכל מדיניות אבטחה יהיה ניתוח JSON רגיל

gcloud

תמחור

המאמרים הבאים

ניהול משאבים באמצעות אילוצים מותאמים אישית